CVE-2025-32463: Повышение привилегий локально через NSS-инъекцию в sudo -R

Краткое описание

Этот PoC демонстрирует локальное повышение привилегий в системах Linux через злоупотребление опцией sudo -R совместно с пользовательским NSS-модулем. Он нацелен на уязвимость CVE-2025-32463, которая возникает из-за небезопасной обработки файла nsswitch.conf и NSS-библиотек в среде chroot.

Этот PoC, sudo2root, адаптирует оригинальную технику, компилируя пользовательский NSS-модуль, который использует атрибут constructor для повышения привилегий и создания setuid-оболочки root в /usr/local/bin/.suidshell.

---

Детали уязвимости

• Vulnerability: Некорректная проверка ввода и небезопасное использование флага -R chroot в sudo.
• Impact: Локальный злоумышленник с доступом к sudo может выполнить произвольный код от имени root, нарушая изоляцию контейнеров и пользователей.
• Корневая причина:
  • sudo -R изменяет корневой каталог, но не сбрасывает привилегии и не очищает окружение.
  • NSS-модули загружаются даже из путей, контролируемых атакующим, внутри этого нового корня.
• Стратегия эксплуатации:
  1. Создать поддельную корневую файловую систему с вредоносным nsswitch.conf и пользовательским shared object libnss_*.
  2. Заставить sudo загрузить NSS-библиотеку, контролируемую атакующим.
  3. Shared object выполняет код при загрузке (через __attribute__((constructor))), создает setuid-оболочку root и повышает привилегии.

---

Обзор PoC

Ключевые компоненты:

1. sudo2root.c – Вредоносный NSS-модуль:

   • Использует функцию конструктора, которая:
     • Получает права root через setreuid(0,0) и setregid(0,0)
     • Записывает небольшую C-программу для оболочки root
     • Компилирует её с помощью gcc
     • Устанавливает правильные SUID-права

2. Bash-скрипт эксплойта:

   • Готовит поддельный chroot с:
     • etc/nsswitch.conf
     • Пользовательский NSS-модуль libnss_/sudo2root1337.so.2
   • Запускает эксплойт через:

     sudo -R sudo2root sudo2root
     

3. Setuid-оболочка:

   • Записывается в: /usr/local/bin/.suidshell
   • Сохраняет root при выполнении:

     /usr/local/bin/.suidshell id
     

---

Использование

chmod +x sudoinject.sh
./sudoinject.sh

После завершения эксплойта выполните:

/usr/local/bin/.suidshell
whoami  # => root

---

Структура файлов

sudoinject.sh                 # Основной скрипт эксплойта
libnss_/sudo2root1337.so.2   # Вредоносный NSS-модуль (скомпилирован)
sudo2root/etc/nsswitch.conf  # Пользовательский nsswitch, указывающий на поддельный модуль
/usr/local/bin/.suidshell    # Итоговая setuid-оболочка root

---

Технический обзор

Эксплуатация sudo -R:

• Флаг -R <dir> в sudo изменяет корневой каталог перед выполнением команды.
• Если в этом каталоге есть пользовательский nsswitch.conf с записью passwd: /libnss_<name>.so, sudo загружает его до сброса привилегий.
• Такое поведение позволяет выполнять произвольный код от имени root.

Выполнение NSS-модуля:

• Shared object компилируется с помощью:

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• Конструктор выполняется до любой логики в main().

• Создает и компилирует suid-оболочку с помощью:

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• Устанавливает права через:

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

---

Скриншот (PoC)

---

Благодарности

• Вдохновение от оригинального PoC: pr0v3rbs/CVE-2025-32463_chwoot
• Эксплойт адаптирован и улучшен: MikiVirus

---

📢 Отказ от ответственности

Этот код предоставляется только в образовательных целях. Несанкционированное использование этого кода в системах, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения, является незаконным и неэтичным. Всегда получайте надлежащее разрешение перед проведением тестирования безопасности.

---